AWS グローバル条件キー

AWS は、アクセスコントロールに IAM を使用するすべての AWS サービスのポリシー条件キーのセットであるグローバル条件キーを定義します。 は、すべてのグローバル条件キー AWS KMS をサポートします。 AWS KMS キーポリシーと IAM ポリシーで使用できます。

例えば、aws:PrincipalArn グローバル条件キーを使用して、 AWS KMS key リクエストのプリンシパルが条件キーの値で Amazon リソースネーム (ARN) で表される場合にのみ、 (KMS キー) へのアクセスを許可できます。で属性ベースのアクセスコントロール (ABAC) をサポートするには AWS KMS、IAM ポリシーで aws:ResourceTag/tag-key グローバル条件キーを使用して、特定のタグを持つ KMS キーへのアクセスを許可できます。

プリンシパルが AWS サービスAWS プリンシパルであるポリシーで サービスが混乱した代理として使用されないようにするには、 aws:SourceArnまたは aws:SourceAccount グローバル条件キーを使用できます。詳細については、「aws:SourceArn または aws:SourceAccount 条件キーの使用」を参照してください。

使用可能なリクエストのタイプなど、 AWS グローバル条件キーの詳細については、IAM AWS ユーザーガイドの「 グローバル条件コンテキストキー」を参照してください。IAM ポリシーでグローバル条件キーを使用する例については、IAM ユーザーガイドのリクエストへのアクセスの制御およびタグキーの制御を参照してください。

以下のトピックでは、IP アドレスと VPC エンドポイントに基づく条件キーを使用するための特別なガイダンスを提供します。

AWS KMS アクセス許可を持つポリシーでの IP アドレス条件の使用

を使用して AWS KMS 、統合 AWS サービス 内のデータを保護できます。ただし、 へのアクセスを許可または拒否する同じポリシーステートメントで IP アドレス条件演算子または aws:SourceIp条件キーを指定する場合は注意が必要です AWS KMS。例えば、AWS: 送信元 IP AWS に基づいて へのアクセスを拒否するのポリシーでは、指定された IP 範囲からのリクエストに AWS アクションを制限します。

次のシナリオを考えてみます。

1. AWS「: 送信元 IP AWS に基づいて へのアクセスを拒否する」に示すようなポリシーを IAM アイデンティティにアタッチします。aws:SourceIp 条件キーの値は、ユーザーの会社の IP アドレス範囲に設定します。この IAM アイデンティティには、Amazon EBS、Amazon EC2、 AWS KMSの使用を許可する他のポリシーがアタッチされています。

2. アイデンティティは、暗号化された EBS ボリュームを EC2 インスタンスにアタッチしようとします。このアクションは、関連するすべてのサービスを使用するためのアクセス権限がユーザーに付与されているにもかかわらず、承認エラーが発生して失敗します。

ボリュームの暗号化されたデータキーを復号 AWS KMS する へのリクエストが Amazon EC2 インフラストラクチャに関連付けられている IP アドレスから送信されるため、ステップ 2は失敗します。成功させるには、リクエストは、元のユーザーの IP アドレスからリクエストが送られてこなければなりません。ステップ 1 のポリシーでは、指定されたもの以外の IP アドレスからのすべてのリクエストが明示的に拒否されるため、Amazon EC2 は EBS ボリュームの暗号化されたデータキーを復号化する権限を拒否されます。

また、リクエストが Amazon VPC エンドポイントから送信される場合、aws:sourceIP 条件キーは無効です。リクエストを AWS KMS VPC エンドポイントなどの VPC エンドポイントに制限するには、aws:sourceVpce または aws:sourceVpc 条件キーを使用します。詳細については、Amazon VPC ユーザーガイドの「VPC エンドポイント - エンドポイントの使用の管理」を参照してください。

AWS KMS アクセス許可を持つポリシーでの VPC エンドポイント条件の使用

は、 を使用するAWS KMS Amazon Virtual Private Cloud (Amazon VPC) エンドポイントをサポートします。 AWS PrivateLinkキーポリシーと IAM ポリシーで次のグローバル条件キーを使用して、リクエストが VPC から送信されたとき、または VPC エンドポイントを使用するときに AWS KMS リソースへのアクセスを制御できます。詳細については、「ポリシーステートメントでの VPC エンドポイントの使用」を参照してください。

• aws:SourceVpc は、指定した VPC からのリクエストにアクセスを制限します。

• aws:SourceVpce は、指定した VPC エンドポイントからのリクエストにアクセスを制限します。

これらの条件キーを使用して KMS キーへのアクセスを制御すると、 が AWS KMS ユーザーに代わって使用する AWS サービスへのアクセスを誤って拒否する可能性があります。

IP アドレス条件キーの例のような状況にならないように注意してください。KMS キーのリクエストを VPC または VPC エンドポイントに制限すると、Amazon S3 や Amazon EBS などの統合サービス AWS KMS からの の呼び出しが失敗する可能性があります。ソースリクエストの最初の送信元が VPC 内または VPC エンドポイントであっても、これは発生することがあります。